สรุปสั้น
บริษัท Hunt.io และนักวิจัย Guy Yasur ติดตามคลัสเตอร์เซิร์ฟเวอร์สั่งการและควบคุม (C2) ของ SpiceRAT ที่มีอยู่ก่อนและต่อยอดจากรายงาน SilkParasite ที่บริษัท Bitdefender เผยแพร่เมื่อเดือนสิงหาคม 2569 งานนี้ไม่ได้แกะตัวอย่างมัลแวร์ แต่ทำแผนที่ฝั่งเครือข่ายของปฏิบัติการอย่างแม่นยำพอที่จะเชื่อม 3 ใน 7 ตระกูล RAT ของ SilkParasite เข้าด้วยกัน ได้แก่ SpiceRAT, NodeEdgeRAT และ NomadRAT ผ่านใบรับรอง โดเมน และรูปแบบการโฮสต์ที่ใช้ร่วมกัน
จุดที่โดดเด่นที่สุดคือใบรับรองใบหนึ่งที่ปลอมเป็นหน่วยงานการรถไฟของรัฐอุซเบกิสถาน (azure.uzrailwaystax[.]com) ซึ่งออกโดย TLC DV TLS CA ผู้ให้บริการออกใบรับรองที่ได้รับทุนทั้งหมดจาก CAICT สถาบันวิจัยของรัฐจีนภายใต้กระทรวงอุตสาหกรรมและเทคโนโลยีสารสนเทศ แม้ตัวผู้ออกใบรับรองเพียงอย่างเดียวจะไม่ใช่ตัวชี้วัด เพราะมีเซิร์ฟเวอร์เกือบ 3,000 เครื่องใช้ใบรับรองของ TLC แต่การที่ใบรับรองแบบ domain-validated ปลอมเป็นหน่วยงานรัฐในเอเชียกลางออกมาจาก CA ที่ตั้งอยู่ในจีน ก็บ่งชี้ถึงช่องทางจัดหาที่จงใจ ปฏิบัติการนี้เมื่อสืบย้อนผ่าน passive DNS พบว่ามีมาตั้งแต่กลางปี 2565 จึงไม่ใช่แคมเปญใหม่ แต่เป็นปฏิบัติการที่ดำเนินมานานและเพิ่งถูกตั้งชื่อว่า SilkParasite
รายละเอียดข่าว
เว็บไซต์ Security Affairs รายงานเมื่อวันที่ 17 กันยายน 2569 ว่า บริษัท Hunt.io เผยแพร่ผลการวิเคราะห์โครงสร้างพื้นฐานที่เชื่อมโยง SpiceRAT เข้ากับปฏิบัติการ SilkParasite ที่พุ่งเป้าไปยังเอเชียกลาง โดยในเดือนมีนาคม 2569 Hunt.io ระบุเซิร์ฟเวอร์ C2 ของ SpiceRAT ได้ 5 เครื่องที่โฮสต์อยู่กับผู้ให้บริการต่างกันและในประเทศต่างกัน แล้วเชื่อมโยงเข้าด้วยกันผ่านองค์ประกอบร่วมหลายอย่าง ทั้งชื่อโฮสต์เดียวกัน ใบรับรอง TLS เดียวกัน และหน้าเว็บที่ถูกโคลนมาใช้เป็นหน้าเริ่มต้น แทนที่จะโฟกัสเฉพาะตัวมัลแวร์ แนวทางนี้มองไปที่โครงสร้างพื้นฐานเบื้องหลัง ซึ่งใบรับรองหรือแฮชของหน้าเว็บที่เหมือนกันเป๊ะ สามารถเป็นตัวชี้วัดที่ทรงพลังให้ผู้ป้องกันใช้ระบุเซิร์ฟเวอร์อื่นในแคมเปญได้
คำขอที่ยิงไปยัง ns2.asiainfo.it[.]com บนไอพี 188.190.29[.]126 ตอบกลับมาด้วยสำเนาหน้าแรกของ RTX Corporation แบบเต็ม พร้อมทั้งเมนู ลิงก์บริษัทลูก และแถบราคาหุ้น หน้านี้ไม่มีโค้ดอันตรายและไม่ได้จำกัดอยู่เฉพาะเซิร์ฟเวอร์นั้น แต่การถูกนำกลับมาใช้ซ้ำทั่วทั้งคลัสเตอร์ทำให้มันกลายเป็นลายนิ้วมือที่ทรงพลัง เมื่อรัน HuntSQL ค้นด้วยค่าแฮช SHA-256 ของหน้าเว็บ ก็ได้โฮสต์กลับมา 13 เครื่องพอดี โดย 3 เครื่องอยู่ในรายชื่อ SpiceRAT ของ Bitdefender อยู่แล้ว อีก 2 เครื่องตรงกับ signature ของ Hunt.io และอีก 8 เครื่องที่เหลือขยายขอบเขตการติดตามออกไปผ่านเวอร์ชัน nginx ที่ใช้ร่วมกันและหน้าเว็บสแตติกหน้าเดียวกัน
วิธีการโจมตี
Bitdefender เคยมองว่าตระกูล RAT หลายตัวใน SilkParasite แยกจากกัน แต่มุมมองเชิงเครือข่ายของ Hunt.io แสดงให้เห็นว่ามันใช้โดเมนแม่และใบรับรองร่วมกัน ตัวอย่างเช่น help.hoster-kg[.]com (บน 193.29.58[.]192) แสดงใบรับรองปลอมเป็นการรถไฟใบเดียวกัน ขณะที่ Bitdefender จัดให้ evo.hoster-kg[.]com เป็นของ NodeEdgeRAT ทั้งสองเชื่อมกันผ่านการจดทะเบียน hoster-kg[.]com ร่วมกัน ไม่ใช่เพราะใช้เซิร์ฟเวอร์เดียวกัน ในทำนองเดียวกัน kg.tdtu[.]org ก็ใช้โดเมนแม่ร่วมกับ mineconom.tdtu[.]org ซึ่งเป็นตัวชี้วัด C2 ของ NomadRAT ในรายงาน SilkParasite สิ่งนี้ไม่ได้พิสูจน์ว่าเป็นผู้ปฏิบัติการรายเดียว แต่แสดงให้เห็นฟังก์ชันสนับสนุนหรือชุดเครื่องมือที่ใช้ร่วมกันทั่วทั้งแคมเปญ จากมุมของการตรวจจับ มันหมายความว่าการหมุนวิเคราะห์จากโดเมน ใบรับรอง และโปรไฟล์การโฮสต์ จะเปิดเผยโหนดที่การวิเคราะห์จากตัวอย่างมัลแวร์อย่างเดียวมองข้ามไป
โดเมนในคลัสเตอร์ไม่เพียงดูเหมือนหน่วยงานรัฐ แต่ปลอมเป็นกระทรวงและรัฐวิสาหกิจอย่างเจาะจง ตัวอย่างเช่น help.galkynysh[.]net (แหล่งก๊าซ Galkynysh เติร์กเมนิสถาน), tmgaz-server[.]com (Türkmengaz), tm-mfa[.]com (กระทรวงการต่างประเทศเติร์กเมนิสถาน) และ tojiktelecomtj[.]com (Tojiktelecom ทาจิกิสถาน) ยังมีโดเมนที่ปลอมเป็นพลังงานเติร์กเมน (sanly.oilgas-tm[.]com) ฝ่ายบริหารอุซเบก (azure.adm-devon[.]com) และแม้แต่ทำเนียบประธานาธิบดีคีร์กีซ (data.yntymak-ordo[.]com) การกำหนดเป้าหมายที่ Bitdefender ได้จากไฟล์ล่อและเทเลเมทรีการติดเชื้อ ถูก Hunt.io ระบุภาคส่วนเดียวกันด้วยชื่อหน่วยงานที่เป็นรูปธรรม
ผลกระทบ
SilkParasite ทับซ้อนกับ FamousSparrow ผู้ก่อภัยที่ต้องสงสัยว่าเชื่อมโยงกับจีน ซึ่งเคยถูกพบว่าพุ่งเป้าไปยังโรงแรม หน่วยงานรัฐ และองค์กรระหว่างประเทศ โครงสร้างพื้นฐานยังสะท้อนรูปแบบของ IndigoZebra (Speccom) ที่ Check Point บันทึกไว้ในปี 2564 ว่าเจาะกระทรวงในเอเชียกลางด้วยรูปแบบโดเมนคล้ายกัน (mail, service, help) และแบบแผนการตั้งชื่อที่ทับซ้อนกัน ความคล้ายเหล่านี้ไม่ได้ฟันธงเรื่องการระบุตัว แต่ตอกย้ำรูปแบบการปฏิบัติการที่สม่ำเสมอของกิจกรรมที่เชื่อมโยงกับจีนในเอเชียกลาง ประเด็นสำคัญสำหรับผู้ป้องกันคือ ปฏิบัติการนี้พุ่งเป้าไปยังภาคส่วนอ่อนไหวระดับชาติ ทั้งพลังงาน โทรคมนาคม และหน่วยงานรัฐ ด้วยเทคนิคปลอมตัวเป็นหน่วยงานท้องถิ่นที่น่าเชื่อถือ จึงเป็นบทเรียนว่าการติดตามผู้ก่อภัยระดับรัฐควรมองที่โครงสร้างพื้นฐานควบคู่ไปกับตัวมัลแวร์
คำแนะนำ
หากรับผิดชอบเครือข่าย OT/ICS โทรคมนาคม หรือหน่วยงานรัฐในภูมิภาคนี้ ควรเริ่มจากตรวจสอบขอบเครือข่ายและ DMZ หาตัวชี้วัดด้านล่าง โดยเฉพาะค่าแฮชของหน้าเว็บ RTX และใบรับรองที่ปลอมเป็นการรถไฟ ควรเฝ้าดูพอร์ต RDP-over-TLS หมายเลขสูง (64350, 64330, 65535, 65111) บน ASN ที่พบมากที่สุดในคลัสเตอร์ และจับตาโดเมนที่ปลอมเป็นผู้ให้บริการโฮสติงท้องถิ่นหรือหน่วยงานรัฐ รายงานต้นฉบับของ Hunt.io มีตาราง IoC และคำสั่ง HuntSQL ฉบับเต็ม ซึ่งจำเป็นสำหรับทีมที่ต้องการทำซ้ำการวิเคราะห์และเฝ้าระวังอย่างแม่นยำ
Indicators of Compromise (IoCs)
ตัวชี้วัดถูก defang ไว้แล้ว ก่อนใช้ต้องแปลงกลับ:
| ประเภท | Indicator | คำอธิบาย |
|---|---|---|
| IP | 46.30.191[.]230 | เซิร์ฟเวอร์ C2 SpiceRAT |
| IP | 188.190.29[.]126 | เซิร์ฟเวอร์ C2 SpiceRAT (โฮสต์ ns2.asiainfo.it[.]com) |
| IP | 193.29.59[.]159 | เซิร์ฟเวอร์ C2 SpiceRAT |
| IP | 31.58.220[.]250 | เซิร์ฟเวอร์ C2 SpiceRAT |
| IP | 171.22.16[.]187 | เซิร์ฟเวอร์ C2 SpiceRAT |
| Domain | azure.uzrailwaystax[.]com | โดเมนพร้อมใบรับรองปลอมเป็นการรถไฟรัฐอุซเบกิสถาน |
| Domain | help.hoster-kg[.]com | โดเมนที่ใช้ใบรับรองปลอมการรถไฟใบเดียวกัน |
| Domain | tm-mfa[.]com | ปลอมเป็นกระทรวงการต่างประเทศเติร์กเมนิสถาน |
| Domain | tojiktelecomtj[.]com | ปลอมเป็น Tojiktelecom ทาจิกิสถาน |
| Domain | data.yntymak-ordo[.]com | ปลอมเป็นทำเนียบประธานาธิบดีคีร์กีซ |